@sema-agent/client-core 0.30.3 → 0.30.5

package/CHANGELOG.md

@@ -16,6 +16,73 @@
 > 🔴 **互链**(web [C166]⑦):各版「已知局限」段只记**该版新增**;接入面已知局限的完整台账在
 > `docs/INTEGRATION-CLIENTS.md` §6e/§7 —— **只读其一会漏**,两处都过。
 
+## 0.30.5
+
+- **#244 F4 族D:配置/模型表单源化(A-028.17/.18/.20 三件单源上收 + A-028.19 对账钉,additive,
+  零 BREAKING)**(2026-08-15;公开导出 707 → 724,+17 全 additive;常驻钉 = pure 门 F4D 段 35
+  checks + F4D-seat-catalog-pin 条件腿 4 checks(红先绿后:壳钉落地前该腿以断言红留证;codex
+  复审两处 [medium] 采纳 —— 腿剥注释锚初始化式防「删钉留注释」假绿、钉补精确等型轴防
+  readonly/any 漂移,后者以 d.ts 变异 readonly 化 → 壳 typecheck 红实证)):
+  - **件1 `model/providerCatalog.ts`(A-028.17)**:46 家 provider 表的**规范折表层** ——
+    `ProviderCatalogRow`(cli DirectoryRow 与 web 折表字段的严格超集)+ `providerCatalogRows` /
+    `providerCatalogCount` / `providerCatalogRowDetail` / `providerPresetById` / `providerApiShortName`。
+    此前这张表被 cli/web 折了三次(cli providerDirectory + web catalog.ts + web 降级表映射),
+    「host 怎么取 / 零模型家怎么说 / 顺序动不动」的判定各持一份靠人工对齐。#175 三条设计约束
+    逐字随迁(单一真源现算 / 全表不重排不过滤 / 诚实缺席「model id typed in」不编「0 models」)。
+    cli 已换装 re-export;web 第二份折表退役归 web 半场(发布帖点名)。
+  - **件2 `model/tierVocabulary.ts`(A-028.18)**:档位五档词表 + 派生 + 校验单源 —— `Tier` /
+    `TIER_ORDER` / `SURFACED_TIERS` / `CC_TIER_ALIASES` / `DEFAULT_TIER` / `TIER_BLURBS` /
+    `TierGroupDef` / `isTier` / `resolveTierBinding`(fail-open 沿链向下,镜像 core expandTiers)。
+    此前跨两仓共三份(cli tierCore + web tiers-page 词表 + web wording.ts 词表+派生)。settings
+    读写/归一/投影那半场仍归宿主(cli tierCore 只留存储)。
+  - **件3 `env/localeTag.ts` + `env/uiLanguage.ts`(A-028.20)**:locale tag **纯手术**单源
+    (`parseLocaleTag`:剥 codeset/modifier、中性 locale 认定、子标签切分)+ UI 语言词表与判定
+    (`UiLanguage` / `UI_LANGUAGES` / `UI_LANGUAGE_ENDONYMS` / `isUiLanguage` / `pickUiLanguage`,
+    自 cli i18n/core 整体迁入)。🔴 **双出口成文**(输出域裁定):同一台手术,两个判定各答各的
+    题 —— `pickUiLanguage` 答「界面用哪种文字」(en/zh,未知回落可读的 en),`resolveRegionHint`
+    答「哪个地址更可达」(cn/intl/unknown,未知绝不猜);`zh-Hant` 在前者是 zh、在后者是 intl,
+    是设计不是漂移。`localeGeo` 的 tag 手术改经同一单源(行为逐条保持,GEO 段 103 checks 未动)。
+  - **件4 SeatCatalogEntry 对账钉(A-028.19)**:`seatContract.ts` 头注自始声称「cli 侧以
+    satisfies 断言钉住两形不漂」而壳全仓 grep 0 命中(声明比现实多说)。修 = cli applyOnboard.ts
+    落真钉(双向 assignability + keyof 键集对轴,类型面零运行时逻辑)+ 本包 pure 门
+    `F4D-seat-catalog-pin` 条件腿反向钉「钉必须在场」(钉被删即红)。
+  - 门随批:portability index 闭包上限 128 → 132(四件纯叶逐件登记,零新外部包零 Node 内建);
+    typeshape unknown 出境 238 → 240(两条类型守卫 unknown 入参位,同族登记);singleton 名单
+    +7 常量表条目(localeGeo NEUTRAL_LOCALES 随手术迁 localeTag);INTEGRATION-CLIENTS §0a/§2/§2b
+    计数与域 11/14 行同批对齐。
+
+## 0.30.4
+
+- **#280 移交两件:probeCause 随卡透传 + tail meta 帧发布口(additive,零 BREAKING)**(2026-08-15;
+  红先绿后,常驻钉 = durable-card-display-keys ⑧ 段 10 checks + pure B7 probeCause 八钉 / B6
+  tail-meta 六钉(含 fail-soft 两钉:sink 同步抛错不撕裂 tail / async 拒绝有界观察零
+  unhandledRejection —— codex 复审 [high] 采纳);壳 #280 围栏 T6 现状锁候本批包透传落地
+  翻红接线):
+  - **件1 `ApprovalCardRequest.probeCause` 透传**(server ≥7.21.0-rc #253 的结构化探针因由,
+    `{code, roots:{shown,total}, further?}`):0.30.3 的两处「帧→卡入参」显式挑键把上游键丢弃 ——
+    活帧腿(`surfaceToolApprovalFrameAndRespond` 的卡入参)与 durable 行腿
+    (`surfaceFsApprovalAndDecide`,载体 = `PendingCheckpoint.riskDescriptor.probeCause`,server 对
+    riskDescriptor 整体透传与活帧同值)。本批两腿共用一把**载体形**判(`isProbeCauseCarrier`:
+    非 null 非数组对象)+ 原样搬运;🔴 内部结构(code/roots/further)**刻意不校** —— 结构校验归
+    呈卡端窄读器(壳 `probeCauseNote.readProbeCauseKey`),包只搬运,unknown 开集类型
+    (`ToolApprovalFrame.probeCause` / `ApprovalCardRequest.probeCause` 两位,agent-types 无现成形)。
+    帧键镜像 15→16 键;`probeCause` **领先** sdk 6.17.2 运行期锚一代 ⇒ 对账门 AHEAD_OF_ANCHOR
+    带退出条件登记(#144 persistedRuleShadowed 同形先例)。超集台账 `docs/type-superset.json`
+    补 `cc-counterpart-addition` 一条(CC 近邻 = `CanUseTool` options 的 `decisionReason`/
+    `blockedPath` 散文/标量位,差在结构化)。
+  - **件2 tail `event: meta` 帧发布口**(`engineSubagentTail.ts`):0.30.3 消费循环
+    `ev.event !== 'forward'` continue 把 meta 帧结构性 skip ⇒ `contentFrames` 供给形判别位
+    (server e439a6c,闭集 {on, progress_only, unknown} ——「内容永远不会来 vs 还没来」的唯一
+    诚实依据)到不了端。本批循环改帧分类闸(switch):meta 经新可装口
+    `installSubagentTailMetaSink`(载荷 `SubagentTailMeta = {taskId, meta}`,meta 为帧开集原文,
+    判别位窄读归消费端)发布后仍不进内容面;🔴 开闸范围**只放 meta**,heartbeat/未来非 forward
+    帧维持 skip。不装 sink = 0.30.3 现状字节不变。公面 +3 名
+    (`installSubagentTailMetaSink` 运行期导出 + `SubagentTailMeta`/`SubagentTailMetaSink` 类型),
+    baseline 706→707;singleton 台账补 `tailMetaSink`(high,ceiling 89→90 成文理由)。
+  - 已知局限(本版新增):meta 判别位的**消费臂在端上**(壳 #280 围栏 T6 翻红后接线);
+    `riskDescriptor.probeCause` 与 `shadowedRule` 同样不在 SDK `PendingCheckpoint.riskDescriptor`
+    声明里(类型半场候 SDK 班车,durable 腿为结构视图读)。
+
 ## 0.30.3
 
 - **#244 F3 wire/会话判定上收 · 包半场(A-028.9/.10/.11/.12/.13/.15 族E;新三件

package/README.md

@@ -35,7 +35,7 @@ Renamed from **`@sema-agent/wire-cc-adapter`** (0.1.x, deprecated — see *Migra
 
 ## Scope
 
-**Version:** 0.30.3
+**Version:** 0.30.5
 
 - **Today** — the adapter seam, the whole `adapt()` pipeline (all 14 A-layer arms plus the
   B/D/E tool-card layers), the notification/caps/model families, the adapter kernel (stream driver

package/dist/env/localeGeo.d.ts

@@ -1,43 +1,3 @@
-/**
- * localeGeo.ts — **地域预选 v1(零网络)**:只看系统 locale 与 IANA 时区,给出一个「默认选哪个
- * 地址更可达」的提示。三端复用(CLI / web / 桌面)。
- *
- * ## 🔴 零耦合约束:模型 provider 目录不吃地域信号(clay 令 2026-07-31)
- *
- * 模型 provider **不分国内国外,完全用户选择,走全表** —— 模型 provider 表恒**全表呈现、顺序
- * 不随地域变**,选哪家 100% 是用户的事。因此本模块与模型目录之间是**设计上的零耦合**,不是巧合:
- *   · 本模块**不导出**任何 `sortProvidersByRegion` / `filterProvidersFor(region)` 形状的函数;
- *   · `src/model/**` **不许** import 本模块(pure 门 GEO 段有机械断言把这条钉住,不靠自觉);
- *   · 唯一合法用途:**搜索 provider / 镜像源 / SearXNG 镜像地址**这类「取哪个地址更可达」的
- *     **默认预选**,而且**永远只是默认值,用户可改**。
- *
- * ## 为什么 v1 零网络
- *
- * 拨号探测(测 RTT / 查出口 IP)会在**用户还没同意任何事**之前就产生一次出站请求,而它换来的
- * 只是一个初始默认值。locale 与时区是宿主已经知道的事实,不需要问任何人。⇒ 本模块是纯函数,
- * 输入由调用方注入(不读宿主的环境变量,与本包 hostEnv 纪律一致:环境是宿主资产)。
- * 门里那条「零环境读取」断言查的是**整份源文件**(注释也算),所以本文里刻意不出现那个成员
- * 表达式的字面写法 —— 判据不必先长出一个词法器,代价只是这一行说明。
- *
- * ## 三档,`unknown` 不是 `intl`
- *
- * 两个信号都没有 ⇒ `unknown`,**绝不猜 `intl`**。「不知道」和「知道它在境外」是两件事:端拿到
- * `unknown` 应当**不预选**(让用户自己挑),拿到 `intl` 才是预选国际地址。把不知道渲染成一个
- * 具体答案,就是[honest-absence-not-fabricated-zero]里那条「编造零值」的同族错误。
- *
- * ## 冲突时**时区赢**(locale 说 zh 但时区是 America/New_York)
- *
- * 理由锚在本模块的用途上 —— 判的是「**哪个地址更可达**」,那是**机器在哪张网上**决定的:
- *   · **时区** = 系统对自己**所在位置**的记录(装机/NTP 时按位置设),与网络出口高度相关;
- *   · **locale** = 用户偏好**哪种语言**,与机器在哪张网上无关(在纽约用中文界面的人很多)。
- * ⇒ 时区是位置的更强证据,冲突时它赢。两个信号一致时 `reason` 同时点名两者(证据更足)。
- *
- * ## `reason` 是「我看到了什么」,不是「你在哪」
- *
- * 端会把它渲成「已按你的系统区域预选,可随时改」。所以 reason 只陈述观测到的事实
- * (`system time zone Asia/Shanghai`),不做身份断言(不写 "you are in China")—— 用户看到的
- * 是判据本身,于是「这判据不对」是他能当场看出来并改掉的。
- */
 /** 三档。🔴 `unknown` ≠ `intl`:前者是没有判据,后者是有判据且指向境外。 */
 export type RegionHint = 'cn' | 'intl' | 'unknown';
 /** 全部输入由调用方注入(Node 侧传 `env.LANG`/`env.LC_ALL` 与 `Intl.DateTimeFormat().resolvedOptions().timeZone`)。 */

package/dist/env/localeGeo.js

@@ -37,7 +37,14 @@
  * 端会把它渲成「已按你的系统区域预选,可随时改」。所以 reason 只陈述观测到的事实
  * (`system time zone Asia/Shanghai`),不做身份断言(不写 "you are in China")—— 用户看到的
  * 是判据本身,于是「这判据不对」是他能当场看出来并改掉的。
+ *
+ * ## tag 手术委托 `./localeTag.js`(F4 族D A-028.20,双出口成文)
+ *
+ * 剥 codeset/modifier、中性 locale 认定、子标签切分这台**手术**与 `env/uiLanguage.ts` 共用
+ * 同一份实现;但两件各答各的题(本件答「哪个地址更可达」,那件答「界面用哪种文字」),
+ * 输出域语义不同,刻意不收敛 —— 理由成文在 localeTag.ts 文件头。
  */
+import { parseLocaleTag } from './localeTag.js';
 /**
  * 判为「内地」的 IANA 时区(含 backward 链接别名与老 `PRC` 形)。
  * 🔴 `Asia/Hong_Kong` / `Asia/Macau` / `Asia/Taipei` **不在**表内:本模块判的是「哪个镜像地址
@@ -54,10 +61,6 @@ const CN_TIME_ZONES = new Set([
 ]);
 /** IANA 时区名的形(`Area/Location`,允许多级如 `America/Argentina/Salta`)。 */
 const IANA_SHAPE = /^[a-z]+(?:\/[a-z0-9_+-]+)+$/i;
-/** 语言标签的形:头一段是 2–3 位字母的语言码。不合形的串(`1234` / 空串)当没信号。 */
-const LANGUAGE_TAG_SHAPE = /^[a-z]{2,3}(?:[-_]|$)/i;
-/** 显式「无 locale」的 POSIX 值 —— 它们不携带任何地域信息。 */
-const NEUTRAL_LOCALES = new Set(['c', 'posix']);
 /** 不含地理信息的时区(UTC 家族):有值,但不构成判据。 */
 const GEOLESS_ZONES = new Set(['utc', 'gmt', 'z', 'universal', 'zulu']);
 /** reason 里回显观测值的长度上限 —— 输入来自宿主环境变量,不该由它决定一行 UI 有多长。 */
@@ -73,11 +76,9 @@ const echo = (v) => (v.length > ECHO_MAX ? `${v.slice(0, ECHO_MAX)}…` : v);
 function localeTag(input) {
     const pick = (v) => (typeof v === 'string' ? v.trim() : '');
     const raw = pick(input.lcAll) || pick(input.lang);
-    const rawNoCodeset = raw.split('.')[0] ?? '';
-    const tag = (rawNoCodeset.split('@')[0] ?? '').trim();
-    if (!tag || NEUTRAL_LOCALES.has(tag.toLowerCase()))
-        return '';
-    return LANGUAGE_TAG_SHAPE.test(tag) ? tag : '';
+    // tag 手术(剥 codeset/modifier、中性 locale、认形)单源在 localeTag.ts —— 本件只保留
+    // 「LC_ALL 独赢」这半句 POSIX 语义,手术本身不再自持第二份。
+    return parseLocaleTag(raw).tag;
 }
 /**
  * locale → 信号。`zh` 系按**地区码优先、脚本次之**读(地区码比脚本更接近地理事实:
@@ -86,7 +87,7 @@ function localeTag(input) {
 function localeSignal(tag) {
     if (!tag)
         return 'unknown';
-    const parts = tag.toLowerCase().replace(/_/g, '-').split('-');
+    const parts = parseLocaleTag(tag).subtags;
     if (parts[0] !== 'zh')
         return 'intl'; // 非中文 locale = 有信号且不指向内地
     const rest = parts.slice(1);

package/dist/env/localeTag.d.ts

@@ -0,0 +1,40 @@
+/**
+ * localeTag.ts — F4 族D(A-028.20,2026-08-15):locale 标签的**纯 tag 手术**单源。
+ *
+ * ## 为什么要有这一件
+ *
+ * 「把一个 locale 标签剥成语言子标签」这台手术此前被做了三次:cli `i18n/core/uiLanguage.ts`
+ * (剥 codeset/modifier → 取语言子标签 → 判 UI 语言)、本包 `env/localeGeo.ts`(同一台手术 →
+ * 判地域预选)、web 侧第二份(答案还不一致)。手术步骤漂了(比如谁剥 `@modifier` 谁不剥),
+ * 同一个 `zh_CN.UTF-8@pinyin` 会在不同端得出不同判定。手术进包单源后,两个**输出域不同**的
+ * 判定(见下)共用这一台手术,步骤从结构上不可能再漂。
+ *
+ * ## 🔴 双出口成文:tag 手术单源 ≠ 答案单源
+ *
+ * 本件只做**手术**(剥、切、认形),不做**判定**。判定有两个,输出域**语义不同**,刻意不收敛:
+ *   · `env/uiLanguage.ts` `pickUiLanguage` → `'en' | 'zh'`:**用户读哪种界面文字**(语言偏好域;
+ *     未知回落 en = 回落到可读的 fallback 目录);
+ *   · `env/localeGeo.ts` `resolveRegionHint` → `'cn' | 'intl' | 'unknown'`:**机器在哪张网上**
+ *     (地址可达域;未知就是 unknown,绝不猜 —— 端应当不预选)。
+ * 两域对同一输入给不同答案是**设计**,不是漂移:`zh-Hant` 的界面语言是中文(zh),而它的网络
+ * 预选是境外(intl)。谁要「收敛成一个函数」谁就把这两件事重新搅在一起。
+ *
+ * ## 手术步骤(POSIX `zh_CN.UTF-8@pinyin` → `zh_CN`)
+ *
+ *   ① trim;② 剥 codeset(`.` 后);③ 剥 modifier(`@` 后)再 trim;
+ *   ④ 中性 locale(`C`/`POSIX`)与不合语言标签形的串(头段非 2–3 位字母)⇒ **无信号**
+ *      (`tag: ''`)——「没有 locale」和「locale 指向某语言」必须分得开;
+ *   ⑤ 子标签统一小写、`_`→`-` 后切开(`tag` 保留原大小写 —— 端要拿它回显观测值)。
+ */
+/** 手术产物。`tag === ''` = 无信号(空/中性/形不对),此时 language/subtags 也为空。 */
+export interface ParsedLocaleTag {
+    /** 剥 codeset/modifier 后的标签**原样**(保留大小写,供端回显观测值);'' = 无信号。 */
+    tag: string;
+    /** 语言子标签(小写);无信号时 ''。 */
+    language: string;
+    /** 全部子标签(小写,[-_] 切);无信号时 []。 */
+    subtags: string[];
+}
+/** 纯 tag 手术(见文件头步骤表)。任何宿主形态的标签都吃:POSIX `LANG`、BCP 47、
+ *  `navigator.language`、Electron `app.getLocale()`。 */
+export declare function parseLocaleTag(raw: string | undefined): ParsedLocaleTag;

package/dist/env/localeTag.js

@@ -0,0 +1,44 @@
+/**
+ * localeTag.ts — F4 族D(A-028.20,2026-08-15):locale 标签的**纯 tag 手术**单源。
+ *
+ * ## 为什么要有这一件
+ *
+ * 「把一个 locale 标签剥成语言子标签」这台手术此前被做了三次:cli `i18n/core/uiLanguage.ts`
+ * (剥 codeset/modifier → 取语言子标签 → 判 UI 语言)、本包 `env/localeGeo.ts`(同一台手术 →
+ * 判地域预选)、web 侧第二份(答案还不一致)。手术步骤漂了(比如谁剥 `@modifier` 谁不剥),
+ * 同一个 `zh_CN.UTF-8@pinyin` 会在不同端得出不同判定。手术进包单源后,两个**输出域不同**的
+ * 判定(见下)共用这一台手术,步骤从结构上不可能再漂。
+ *
+ * ## 🔴 双出口成文:tag 手术单源 ≠ 答案单源
+ *
+ * 本件只做**手术**(剥、切、认形),不做**判定**。判定有两个,输出域**语义不同**,刻意不收敛:
+ *   · `env/uiLanguage.ts` `pickUiLanguage` → `'en' | 'zh'`:**用户读哪种界面文字**(语言偏好域;
+ *     未知回落 en = 回落到可读的 fallback 目录);
+ *   · `env/localeGeo.ts` `resolveRegionHint` → `'cn' | 'intl' | 'unknown'`:**机器在哪张网上**
+ *     (地址可达域;未知就是 unknown,绝不猜 —— 端应当不预选)。
+ * 两域对同一输入给不同答案是**设计**,不是漂移:`zh-Hant` 的界面语言是中文(zh),而它的网络
+ * 预选是境外(intl)。谁要「收敛成一个函数」谁就把这两件事重新搅在一起。
+ *
+ * ## 手术步骤(POSIX `zh_CN.UTF-8@pinyin` → `zh_CN`)
+ *
+ *   ① trim;② 剥 codeset(`.` 后);③ 剥 modifier(`@` 后)再 trim;
+ *   ④ 中性 locale(`C`/`POSIX`)与不合语言标签形的串(头段非 2–3 位字母)⇒ **无信号**
+ *      (`tag: ''`)——「没有 locale」和「locale 指向某语言」必须分得开;
+ *   ⑤ 子标签统一小写、`_`→`-` 后切开(`tag` 保留原大小写 —— 端要拿它回显观测值)。
+ */
+/** 显式「无 locale」的 POSIX 值 —— 它们不携带任何语言/地域信息。 */
+const NEUTRAL_LOCALES = new Set(['c', 'posix']);
+/** 语言标签的形:头一段是 2–3 位字母的语言码。不合形的串(`1234` / 空串)当没信号。 */
+const LANGUAGE_TAG_SHAPE = /^[a-z]{2,3}(?:[-_]|$)/i;
+/** 纯 tag 手术(见文件头步骤表)。任何宿主形态的标签都吃:POSIX `LANG`、BCP 47、
+ *  `navigator.language`、Electron `app.getLocale()`。 */
+export function parseLocaleTag(raw) {
+    const trimmed = typeof raw === 'string' ? raw.trim() : '';
+    const noCodeset = trimmed.split('.')[0] ?? '';
+    const tag = (noCodeset.split('@')[0] ?? '').trim();
+    if (!tag || NEUTRAL_LOCALES.has(tag.toLowerCase()) || !LANGUAGE_TAG_SHAPE.test(tag)) {
+        return { tag: '', language: '', subtags: [] };
+    }
+    const subtags = tag.toLowerCase().replace(/_/g, '-').split('-');
+    return { tag, language: subtags[0] ?? '', subtags };
+}

package/dist/env/uiLanguage.d.ts

@@ -0,0 +1,18 @@
+/** The languages sema's own screens are available in. */
+export type UiLanguage = 'en' | 'zh';
+/** Menu order: the detected language is pre-focused, so this order is presentation only. */
+export declare const UI_LANGUAGES: readonly UiLanguage[];
+/**
+ * Language names in the language itself (endonyms). NEVER translated and never routed through the
+ * message catalog: a language picker has to be readable by someone who cannot read the current UI
+ * language — that is the whole point of the screen.
+ */
+export declare const UI_LANGUAGE_ENDONYMS: Record<UiLanguage, string>;
+export declare function isUiLanguage(v: unknown): v is UiLanguage;
+/**
+ * Decide the UI language from ONE locale tag, whatever the host got it from — a POSIX `LANG`
+ * (`zh_CN.UTF-8`), a BCP 47 tag (`zh-Hant`), `navigator.language`, an Electron `app.getLocale()`.
+ * Anything whose language subtag is `zh` ⇒ 中文; everything else — including empty, `C` and
+ * `POSIX` — ⇒ English (which is also the fallback catalog, so "unknown" degrades to "readable").
+ */
+export declare function pickUiLanguage(localeTag: string | undefined): UiLanguage;

package/dist/env/uiLanguage.js

@@ -0,0 +1,37 @@
+/**
+ * uiLanguage.ts — F4 族D(A-028.20,2026-08-15;整体自 cli `src/sema/i18n/core/uiLanguage.ts`
+ * 搬迁):UI 语言的**词表 + 判定**——类型、两种受支持语言、各自的 endonym、以及
+ * 「一个 locale 标签 → UI 语言」的纯判定。三端(CLI / web / 桌面)共用这一份。
+ *
+ * tag 手术(剥 codeset/modifier、切子标签)委托 `./localeTag.js` —— 与 `./localeGeo.js` 共用
+ * **同一台手术**但**各答各的题**(双出口成文,理由见 localeTag.ts 文件头:语言偏好域 ≠ 地址
+ * 可达域,`zh-Hant` 在前者是 zh、在后者是 intl)。
+ *
+ * 标签从哪来是宿主的事,本件不读环境:CLI 读 POSIX env(LC_ALL > LC_MESSAGES > LANG),
+ * 浏览器读 `navigator.language`,Electron 读 `app.getLocale()` —— 各宿主的三行 adapter 都
+ * 调同一个 `pickUiLanguage`。
+ */
+import { parseLocaleTag } from './localeTag.js';
+/** Menu order: the detected language is pre-focused, so this order is presentation only. */
+export const UI_LANGUAGES = ['en', 'zh'];
+/**
+ * Language names in the language itself (endonyms). NEVER translated and never routed through the
+ * message catalog: a language picker has to be readable by someone who cannot read the current UI
+ * language — that is the whole point of the screen.
+ */
+export const UI_LANGUAGE_ENDONYMS = {
+    en: 'English',
+    zh: '中文',
+};
+export function isUiLanguage(v) {
+    return v === 'en' || v === 'zh';
+}
+/**
+ * Decide the UI language from ONE locale tag, whatever the host got it from — a POSIX `LANG`
+ * (`zh_CN.UTF-8`), a BCP 47 tag (`zh-Hant`), `navigator.language`, an Electron `app.getLocale()`.
+ * Anything whose language subtag is `zh` ⇒ 中文; everything else — including empty, `C` and
+ * `POSIX` — ⇒ English (which is also the fallback catalog, so "unknown" degrades to "readable").
+ */
+export function pickUiLanguage(localeTag) {
+    return parseLocaleTag(localeTag).language === 'zh' ? 'zh' : 'en';
+}

package/dist/hitl/toolApprovalWire.d.ts

@@ -238,6 +238,18 @@ export interface ApprovalCardRequest {
      * 压根没有规则命中(缺席),而命中且清掉了的那些根本不会变成卡。
      */
     persistedRuleShadowed?: string;
+    /**
+     * 结构化探针因由(#280 件1,0.30.4;server ≥7.21.0-rc #253)——**双源合流**
+     * ({@link governanceForced} 同形,两腿在场性可以不一致):
+     *   · **活卡帧腿**:{@link ToolApprovalFrame.probeCause} 原样;
+     *   · **durable park 行腿**:`PendingCheckpoint.riskDescriptor.probeCause`(server 对
+     *     riskDescriptor 整体透传,与活帧同值 —— core `buildRiskDescriptor` 铸)。
+     * 🔴 **开集(unknown),包只搬运**:载体形判(非 null 非数组对象)之外零校验零改写 ——
+     * 内部结构(code/roots/further)的窄读、消毒与呈现全部归端(壳 `probeCauseNote` 窄读器:
+     * 形不合整只按缺席,呈现走 wireNote 车道)。缺席 = 无因由/老引擎/坏载体形(三者同形,不猜),
+     * 卡形字节不变。UNTRUSTED-for-display:code/roots 是工具作文面,只渲染绝不回喂模型/工具入参。
+     */
+    probeCause?: unknown;
 }
 /**
  * 🔴 **拆缝口** —— 弹「三选卡」并等人的决断。壳 = vendored CC `PermissionRequest`;
@@ -352,6 +364,28 @@ export interface ToolApprovalFrame {
      * 耐久对偶仍未消费——那一路是独立的一件,不在本键的施工面内。
      */
     persistedRuleShadowed?: string;
+    /**
+     * server ≥7.21.0-rc(#253 件 G1,core 5.33.0 backlog #239;**ADDITIVE**,`"tool_approval"` only。
+     * 真发直证 = engine 7.22.0 fixture `@sema-agent/server/dist/tool-approval.d.ts` 同名键)——
+     * 这只 ask **为什么**被收紧的**结构化探针因由**:被拦工具自声明 `reversibilityProbe` 且判不出
+     * 可回滚时,引擎在 maybe 档收紧点铸;wire 契约形 = `{ code, roots:{shown,total},
+     * further?:{shown,total} }`(server `ProbeCauseSchema` `.strict()`,活卡帧与 durable `card_json`
+     * 经同一 `readProbeCause` 单点铸造 ⇒ 两面结构性同值)。
+     *
+     * 🔴 **本包刻意不拥有这个形**(类型 = unknown 开集;#280 件1,0.30.4):内部结构(code/roots/
+     * further)的校验与呈现归呈卡端的窄读器(壳 `probeCauseNote.readProbeCauseKey` 同款「形不合整只
+     * 按缺席」纪律),包只做**载体形**判(非 null 非数组对象)+ 原样搬运 —— 两层各校一遍会让
+     * 「谁把键窄没的」在排障时说不清,且包侧校严一档就把上游 additive 内键挡在边界外。
+     * 🔴 **缺席 ≠「没有原因」**:只有 maybe 档收紧且探针真给了 cause 的 ask 才有它(工具 opt-in
+     * 供给,非常驻字段 —— [3980] test 定谳的负控:mandate 路径 ask 帧不带)。
+     * 🔴 本键**领先** SDK 运行期锚一代(sdk 6.17.2 的 `TOOL_APPROVAL_FRAME_KEYS` 尚无)⇒ 对账门
+     * (run-approval-frame-keys-test.mjs)AHEAD_OF_ANCHOR 带退出条件登记,#144
+     * `persistedRuleShadowed` 同形先例:SDK 锚补上当天登记自红逼删。
+     * 耐久路对偶 = `PendingCheckpoint.riskDescriptor.probeCause`(同值;server 对 riskDescriptor
+     * 整体透传),由 {@link surfaceFsApprovalAndDecide} 的行 → 卡重铸处消费。
+     * UNTRUSTED-for-display:code/roots 是工具作文面(server 已 redact),端呈前消毒,只渲染绝不回喂。
+     */
+    probeCause?: unknown;
 }
 /** {@link ToolApprovalFrame.delegation} 的形(命名形,不用内联匿名 —— typeshape 门 B4 棘轮口径)。 */
 export interface ToolApprovalDelegation {
@@ -367,7 +401,7 @@ export interface ToolApprovalDelegation {
  * `TOOL_APPROVAL_FRAME_KEYS` 比对——SDK additive 增键时对账当天红,不再人肉追平。
  * 下面两个类型钉保证镜像与 interface 本身不可能漂移(少键/多键都是编译错)。
  */
-export declare const TOOL_APPROVAL_FRAME_KEYS_MIRROR: readonly ["type", "approvalId", "toolCallId", "toolName", "sourceTaskId", "fromSubagent", "sourceAgentName", "message", "args", "argsOmitted", "governanceForced", "ruleSuggestions", "persistedRuleShadowed", "delegation", "outcome"];
+export declare const TOOL_APPROVAL_FRAME_KEYS_MIRROR: readonly ["type", "approvalId", "toolCallId", "toolName", "sourceTaskId", "fromSubagent", "sourceAgentName", "message", "args", "argsOmitted", "governanceForced", "ruleSuggestions", "persistedRuleShadowed", "probeCause", "delegation", "outcome"];
 /** 子代帧判别:显式键 fromSubagent(core 1.378 RB-39②)优先;缺席退 sourceTaskId 在场性权宜式
  *  (server 1.258 [1549]①3,旧代际兼容)。 */
 export declare function isFromSubagent(frame: ToolApprovalFrame): boolean;

package/dist/hitl/toolApprovalWire.js

@@ -255,6 +255,11 @@ export async function surfaceFsApprovalAndDecide(deps, taskId, argsByCall, signa
     // 合形窄化,落**只读键**(红线见 ApprovalCardRequest.ruleSuggestionsReadOnly 顶注:/decide
     // 无规则位,落可兑付位=假 affordance)。
     const ruleSuggestionsReadOnly = readRuleSuggestions(pending.ruleSuggestions);
+    // #280 件1(0.30.4):durable 行腿的探针因由载体 = `riskDescriptor.probeCause`(server 对
+    // riskDescriptor 整体透传,与活卡帧同值)。SDK 6.17.2 的 riskDescriptor 声明尚无此键 ⇒ 结构
+    // 视图读(与 caps 防御读同款姿势),类型半场候 SDK 班车;载体形不合 ⇒ 不铸键(内部结构不校,
+    // 归呈卡端窄读器 —— isProbeCauseCarrier 顶注)。
+    const durableProbeCause = pending.riskDescriptor?.probeCause;
     const card = await surfaceApprovalCard({
         toolName,
         args,
@@ -262,6 +267,7 @@ export async function surfaceFsApprovalAndDecide(deps, taskId, argsByCall, signa
         ...(signal ? { signal } : {}),
         ...(pending.governanceForced === true ? { governanceForced: true } : {}),
         ...(ruleSuggestionsReadOnly !== undefined ? { ruleSuggestionsReadOnly } : {}),
+        ...(isProbeCauseCarrier(durableProbeCause) ? { probeCause: durableProbeCause } : {}),
     });
     switch (card.kind) {
         case 'failed':
@@ -347,6 +353,11 @@ export const TOOL_APPROVAL_FRAME_KEYS_MIRROR = [
     // (sdk 6.14.0/6.15.0 的 TOOL_APPROVAL_FRAME_KEYS 都还没有它)⇒ 对账门里有一条**带退出条件**的
     // 领先登记(AHEAD_OF_ANCHOR):SDK 锚一旦补上,那条登记当场红,逼人删登记而不是让豁免长住。
     'persistedRuleShadowed',
+    // #280 件1(client-core 0.30.4):server 7.21.0-rc(#253)起真发 `probeCause`(直证 = engine
+    // 7.22.0 fixture 的 `@sema-agent/server/dist/tool-approval.d.ts`)。⚠️ 本键**领先** SDK 运行期锚
+    // 一代(sdk 6.17.2 尚无)⇒ 对账门里有一条带退出条件的领先登记(AHEAD_OF_ANCHOR),SDK 锚一旦
+    // 补上,那条登记当场红,逼人删登记回到逐元素相等 —— #144 persistedRuleShadowed 同形先例。
+    'probeCause',
     'delegation',
     'outcome',
 ];
@@ -458,6 +469,16 @@ function pathFromGateMessage(message) {
  * 渲一个按下去必被 server 拒的选项。上限 8 条(server 端候选本就 ≤2,超长=坏形,截不留痕会
  * 掩盖注入,整体降缺席)。
  */
+/**
+ * `probeCause` 的**载体形**判(#280 件1):非 null 非数组对象才搬运(wire 契约的载体就是对象,
+ * 串/数/数组/null 是坏载体不是「另一种因由」)。刻意只判到这一层 —— 内部结构(code/roots/further)
+ * 校验归呈卡端窄读器(server `readProbeCause` 的消费端对偶,壳 `probeCauseNote.readProbeCauseKey`),
+ * 包内校严一档就会把上游 additive 内键挡在边界外,还让「谁把键窄没的」在排障时多一层嫌疑。
+ * 两条决断腿(活帧/durable 行)共用这一把,判词绝不各写各的。
+ */
+function isProbeCauseCarrier(v) {
+    return typeof v === 'object' && v !== null && !Array.isArray(v);
+}
 function readRuleSuggestions(v) {
     if (!Array.isArray(v))
         return undefined;
@@ -570,6 +591,9 @@ export async function surfaceToolApprovalFrameAndRespond(frame, respond, streamA
         ...(typeof frame.persistedRuleShadowed === 'string' && frame.persistedRuleShadowed.trim() !== ''
             ? { persistedRuleShadowed: frame.persistedRuleShadowed }
             : {}),
+        // #280 件1(0.30.4):探针因由随卡透传 —— 载体形判之外零校验零改写(内部结构归呈卡端窄读器,
+        // isProbeCauseCarrier 顶注);缺席/坏载体 ⇒ 键不 stamp,卡形字节不变。
+        ...(isProbeCauseCarrier(frame.probeCause) ? { probeCause: frame.probeCause } : {}),
     });
     const decision = card.kind === 'allow' ? (card.allowSession ? 'allow_session' : 'allow') : 'deny';
     if (card.kind === 'failed') {

package/dist/index.d.ts

@@ -242,6 +242,10 @@ export * from './agentSession/backgroundView.js';
 export * from './model/catalog.js';
 export * from './model/catalogLoader.js';
 export * from './model/providerAuth.js';
+export * from './model/providerCatalog.js';
+export * from './model/tierVocabulary.js';
 export * from './websearch/searchProviderPresets.js';
 export * from './env/localeGeo.js';
+export * from './env/localeTag.js';
+export * from './env/uiLanguage.js';
 export type { PendingCheckpoint, RuleSuggestion } from '@sema-agent/sdk';

package/dist/index.js

@@ -416,6 +416,14 @@ export * from './model/catalogLoader.js';
 //    填别的编辑器插件的 app id = 冒用,与 §6 判 C 档出局同一条判据),因此
 //    `supportsDeviceCodeAuth` 对每一家如实返回 false、UI 不显示该选项 —— 注册一家 = 加一行。
 export * from './model/providerAuth.js';
+// ── F4 族D(A-028.17/.18,2026-08-15):配置/模型表单的**折表与词表**单源 ─────────────────────
+// 🔴 `model/providerCatalog.ts` = 46 家表的规范折表层(表→目录行的那一次投影 + 行级文案判定)。
+//    此前 cli/web 各折各的(共三份),两侧常驻全表门靠人工对齐。三条约束成文在文件头:
+//    单一真源现算 / 全表不重排不过滤 / 诚实缺席(零模型家说 "model id typed in" 不编 "0 models")。
+export * from './model/providerCatalog.js';
+// 🔴 `model/tierVocabulary.ts` = 档位五档词表 + CC 别名 + isTier 校验 + resolveTierBinding
+//    fail-open 降档派生。此前跨两仓三份;settings 读写那半场仍归宿主(cli tierCore 只留存储)。
+export * from './model/tierVocabulary.js';
 // ── 搜索 provider 目录 + 地域预选(2026-07-31)──────────────────────────────────────────────────
 // `websearch/searchProviderPresets` = model 目录的**同形不同表**姊妹件:数据在 json、类型与查询
 // 在 ts。它编译出来的不是模型目录而是**引擎部署 env**(`WEB_SEARCH_*`)。
@@ -430,3 +438,10 @@ export * from './websearch/searchProviderPresets.js';
 //    `src/model/**` 也不许 import 它(pure 门 GEO 段有机械断言)。合法用途只有搜索 provider /
 //    镜像源地址这类「取哪个地址更可达」的**默认值**预选。
 export * from './env/localeGeo.js';
+// ── F4 族D(A-028.20,2026-08-15):locale tag 手术单源 + UI 语言词表/判定 ────────────────────
+// 🔴 双出口成文(localeTag.ts 文件头):tag **手术**(剥 codeset/modifier、切子标签)单源一份;
+//    **判定**两个且输出域语义不同,刻意不收敛 —— `pickUiLanguage` 答「界面用哪种文字」
+//    (en/zh,未知回落可读的 en),`resolveRegionHint` 答「哪个地址更可达」(cn/intl/unknown,
+//    未知绝不猜)。`zh-Hant` 在前者是 zh、在后者是 intl —— 这是设计,不是漂移。
+export * from './env/localeTag.js';
+export * from './env/uiLanguage.js';

package/dist/model/providerCatalog.d.ts

@@ -0,0 +1,65 @@
+/**
+ * providerCatalog.ts — F4 族D(A-028.17,2026-08-15):46 家 provider 表的**规范折表层**
+ * (canonical fold)。纯派生、零 IO、零宿主依赖 —— 表本体在 `providerPresets.json`,
+ * 本件只做「表 → 目录行」的那一次投影与行级文案判定。
+ *
+ * ## 为什么折表要进包
+ *
+ * 搬迁前这张表被折了三次:cli `src/sema/config/providerDirectory.ts`(Model Hub 目录行)、
+ * web `src/lib/providers/catalog.ts`(向导折表)、web `provider-catalog.ts`(降级表二次映射)。
+ * 三份折表各自持有「host 怎么取 / 零模型家怎么说 / 顺序动不动」这些**判定**,两侧常驻全表门
+ * 只能靠人工对齐 —— 判定漂了没有任何编译器会响。折表进包后:cli 换装 re-export(单一真源),
+ * web 侧第二份折表退役是 web 半场的事(发布帖点名)。
+ *
+ * ## 三条继承自 cli #175 的设计约束(逐字保留语义)
+ *
+ *   ① **单一真源**:每个量都从 `PROVIDER_PRESETS` 现算,本文件里没有第二张表 —— 没有硬编码的
+ *      家名/baseUrl/模型清单。表更新一次,所有端的目录跟着变。
+ *   ② **全表不重排**:顺序 = 表序,一行不筛、不重排、不分组(clay 令 2026-08-01:模型 provider
+ *      完全用户选择,走全表)。本件不导出任何排序/过滤函数。
+ *   ③ **诚实缺席**:表里没登记模型列表的家(ollama / vllm / litellm / 聚合网关等)`modelIds`
+ *      就是空数组,行文案说「model id typed in」,**不写「0 models」**——「0 个模型」是编造
+ *      出来的量:表没登记 ≠ 这家没有模型。consoleUrl / signupUrl 缺席同样原样缺席,不回落编造。
+ *
+ * 行形是 cli DirectoryRow 与 web 折表两侧字段的**严格超集**(字段名与 cli 侧逐字一致,cli 直接
+ * re-export 零改动;web 侧的 label/keyEnvSuggestion/suggestedModels 对应 name/authEnv/modelIds)。
+ */
+import { type ProviderPreset } from './providerPresets.js';
+/** 目录/向导的一行(表的一次纯投影;字段全部现算,invariant:modelCount === modelIds.length)。 */
+export interface ProviderCatalogRow {
+    /** preset 表里的 id(行 key + 回查用) */
+    presetId: string;
+    name: string;
+    baseUrl: string;
+    /** baseUrl 的 host(含端口);解析不出时给空串(诚实缺席,不猜) */
+    host: string;
+    api: ProviderPreset['api'];
+    /** 领 key 的环境变量**名**(绝不是值;web 侧的 keyEnvSuggestion) */
+    authEnv: string;
+    /** 表里登记了的模型 id(原序原样;空数组 = 这家的 model id 由用户手填,见约束③) */
+    modelIds: string[];
+    /** 表里**登记了**的模型条数(0 = model id 手填,不是「这家没有模型」) */
+    modelCount: number;
+    /** 聚合网关/本地引擎:模型 id 手填,ctx/maxTokens 走家族表 */
+    modelViaFamily: boolean;
+    /** 去哪拿 key 的控制台页(纯 URL);缺席 = 上游没有确证地址,不编 */
+    consoleUrl?: string;
+    /** 没账号时的注册入口;缺席 = 用 consoleUrl 那条 */
+    signupUrl?: string;
+}
+/** api 家族的行内短名(目录行/芯片行两端同一个词,不各自缩写)。 */
+export declare const providerApiShortName: (api: ProviderPreset["api"]) => string;
+/**
+ * 全表 → 目录行。**顺序 = 表序**(约束②):这里没有 filter,也没有 sort。
+ * `presets` 入参只给测试用(注入一张小表),产品路径恒走 `PROVIDER_PRESETS`。
+ */
+export declare function providerCatalogRows(presets?: readonly ProviderPreset[]): ProviderCatalogRow[];
+/** 目录规模。端上「家数」与目录行数同源 —— 两处不会各报一个数。 */
+export declare function providerCatalogCount(): number;
+/** 按 preset id 回查整条 preset(目录选中之后要拿 baseUrl / models / consoleUrl)。 */
+export declare function providerPresetById(presetId: string): ProviderPreset | undefined;
+/**
+ * 一行的 dim 说明:`host · api · 模型情况`。
+ * 约束③:`modelCount === 0` 说「model id typed in」,绝不写「0 models」。
+ */
+export declare function providerCatalogRowDetail(row: Pick<ProviderCatalogRow, 'host' | 'baseUrl' | 'api' | 'modelCount' | 'modelViaFamily'>): string;

package/dist/model/providerCatalog.js

@@ -0,0 +1,74 @@
+/**
+ * providerCatalog.ts — F4 族D(A-028.17,2026-08-15):46 家 provider 表的**规范折表层**
+ * (canonical fold)。纯派生、零 IO、零宿主依赖 —— 表本体在 `providerPresets.json`,
+ * 本件只做「表 → 目录行」的那一次投影与行级文案判定。
+ *
+ * ## 为什么折表要进包
+ *
+ * 搬迁前这张表被折了三次:cli `src/sema/config/providerDirectory.ts`(Model Hub 目录行)、
+ * web `src/lib/providers/catalog.ts`(向导折表)、web `provider-catalog.ts`(降级表二次映射)。
+ * 三份折表各自持有「host 怎么取 / 零模型家怎么说 / 顺序动不动」这些**判定**,两侧常驻全表门
+ * 只能靠人工对齐 —— 判定漂了没有任何编译器会响。折表进包后:cli 换装 re-export(单一真源),
+ * web 侧第二份折表退役是 web 半场的事(发布帖点名)。
+ *
+ * ## 三条继承自 cli #175 的设计约束(逐字保留语义)
+ *
+ *   ① **单一真源**:每个量都从 `PROVIDER_PRESETS` 现算,本文件里没有第二张表 —— 没有硬编码的
+ *      家名/baseUrl/模型清单。表更新一次,所有端的目录跟着变。
+ *   ② **全表不重排**:顺序 = 表序,一行不筛、不重排、不分组(clay 令 2026-08-01:模型 provider
+ *      完全用户选择,走全表)。本件不导出任何排序/过滤函数。
+ *   ③ **诚实缺席**:表里没登记模型列表的家(ollama / vllm / litellm / 聚合网关等)`modelIds`
+ *      就是空数组,行文案说「model id typed in」,**不写「0 models」**——「0 个模型」是编造
+ *      出来的量:表没登记 ≠ 这家没有模型。consoleUrl / signupUrl 缺席同样原样缺席,不回落编造。
+ *
+ * 行形是 cli DirectoryRow 与 web 折表两侧字段的**严格超集**(字段名与 cli 侧逐字一致,cli 直接
+ * re-export 零改动;web 侧的 label/keyEnvSuggestion/suggestedModels 对应 name/authEnv/modelIds)。
+ */
+import { PROVIDER_PRESETS } from './providerPresets.js';
+const hostOf = (u) => {
+    try {
+        return new URL(u).host;
+    }
+    catch {
+        return '';
+    }
+};
+/** api 家族的行内短名(目录行/芯片行两端同一个词,不各自缩写)。 */
+export const providerApiShortName = (api) => api === 'anthropic-messages' ? 'anthropic' : 'openai';
+/**
+ * 全表 → 目录行。**顺序 = 表序**(约束②):这里没有 filter,也没有 sort。
+ * `presets` 入参只给测试用(注入一张小表),产品路径恒走 `PROVIDER_PRESETS`。
+ */
+export function providerCatalogRows(presets = PROVIDER_PRESETS) {
+    return presets.map(p => ({
+        presetId: p.id,
+        name: p.name,
+        baseUrl: p.baseUrl,
+        host: hostOf(p.baseUrl),
+        api: p.api,
+        authEnv: p.authEnv,
+        modelIds: p.models.map(m => m.id),
+        modelCount: p.models.length,
+        modelViaFamily: p.modelViaFamily === true,
+        ...(p.consoleUrl === undefined ? {} : { consoleUrl: p.consoleUrl }),
+        ...(p.signupUrl === undefined ? {} : { signupUrl: p.signupUrl }),
+    }));
+}
+/** 目录规模。端上「家数」与目录行数同源 —— 两处不会各报一个数。 */
+export function providerCatalogCount() {
+    return providerCatalogRows().length;
+}
+/** 按 preset id 回查整条 preset(目录选中之后要拿 baseUrl / models / consoleUrl)。 */
+export function providerPresetById(presetId) {
+    return PROVIDER_PRESETS.find(p => p.id === presetId);
+}
+/**
+ * 一行的 dim 说明:`host · api · 模型情况`。
+ * 约束③:`modelCount === 0` 说「model id typed in」,绝不写「0 models」。
+ */
+export function providerCatalogRowDetail(row) {
+    const models = row.modelCount === 0
+        ? 'model id typed in'
+        : `${row.modelCount} model${row.modelCount === 1 ? '' : 's'}${row.modelViaFamily ? ' · or any id' : ''}`;
+    return [row.host || row.baseUrl, providerApiShortName(row.api), models].join(' · ');
+}

package/dist/model/tierVocabulary.d.ts

@@ -0,0 +1,43 @@
+/**
+ * tierVocabulary.ts — F4 族D(A-028.18,2026-08-15):档位(tier)的**词表 + 派生 + 校验**单源。
+ * 纯数据 + 纯函数,零 IO、零宿主依赖。
+ *
+ * ## 为什么进包
+ *
+ * 搬迁前这套词表跨两仓共三份:cli `src/sema/config/tierCore.ts`(词表 + isTier 校验 +
+ * resolveTierBinding 派生)、web `tiers-page.tsx`(词表)、web `chat/wording.ts`(词表 + 按
+ * 模型名 token 化的派生)。五档顺序/别名映射漂了没有任何编译器会响。词表进包后:cli 的
+ * tierCore 换装 re-export(settings 读写那半场留在壳里 —— 那是宿主存储,不是词表);web 侧
+ * 两份的退役是 web 半场的事(发布帖点名)。
+ *
+ * ## 与引擎侧的对齐
+ *
+ * 五档序镜像 core `DEFAULT_TIER_ORDER`、CC 别名镜像 core `CC_MODEL_TIER_ALIASES`(cli 侧
+ * tierStore.test.ts 有对 core 导出的运行时 drift-lock);`ultra` 预留在 max 之上(core 已排位,
+ * UI 今天不面)。缺省默认档 pro(clay [599])。
+ */
+/** sema 档位(用户/模型可寻址的命名档)。`ultra` 预留(core 已排位,UI 今天不面)。 */
+export type Tier = 'ultra' | 'max' | 'pro' | 'flash' | 'lite';
+/** 降档链(强→弱)——镜像 core DEFAULT_TIER_ORDER;解析某档无绑定时沿链向后取第一个有绑定的档。 */
+export declare const TIER_ORDER: readonly Tier[];
+/** UI 呈现的四档(ultra 预留不面)。 */
+export declare const SURFACED_TIERS: readonly Tier[];
+/** CC 档位词 → sema 档位(内置固定映射,镜像 core CC_MODEL_TIER_ALIASES;兼容层不可配)。 */
+export declare const CC_TIER_ALIASES: Readonly<Record<string, Tier>>;
+/** 缺省默认档(clay [599]:默认档缺省 pro)。 */
+export declare const DEFAULT_TIER: Tier;
+/** 各档一句话职责(档位 Hub/onboard 行描述共用;无 roster/role 词)。 */
+export declare const TIER_BLURBS: Readonly<Record<Tier, string>>;
+/** 一个命名档位组的绑定形(纯类型:绑定值 = 端侧模型目录的 entry id)。 */
+export type TierGroupDef = {
+    /** tier → 模型 entry id。未绑档沿 TIER_ORDER 向下 fail-open(见 resolveTierBinding)。 */
+    tiers: Partial<Record<Tier, string>>;
+    /** 组内默认档(缺省 DEFAULT_TIER=pro)。 */
+    defaultTier?: Tier;
+};
+export declare const isTier: (v: unknown) => v is Tier;
+/**
+ * 组内解析某档 → 绑定 entry id(该档未绑则沿 TIER_ORDER 向下取第一个有绑定的档;全空
+ * undefined)。fail-open 沿链向下,镜像 core expandTiers 语义。
+ */
+export declare function resolveTierBinding(def: TierGroupDef, tier: Tier): string | undefined;

package/dist/model/tierVocabulary.js

@@ -0,0 +1,59 @@
+/**
+ * tierVocabulary.ts — F4 族D(A-028.18,2026-08-15):档位(tier)的**词表 + 派生 + 校验**单源。
+ * 纯数据 + 纯函数,零 IO、零宿主依赖。
+ *
+ * ## 为什么进包
+ *
+ * 搬迁前这套词表跨两仓共三份:cli `src/sema/config/tierCore.ts`(词表 + isTier 校验 +
+ * resolveTierBinding 派生)、web `tiers-page.tsx`(词表)、web `chat/wording.ts`(词表 + 按
+ * 模型名 token 化的派生)。五档顺序/别名映射漂了没有任何编译器会响。词表进包后:cli 的
+ * tierCore 换装 re-export(settings 读写那半场留在壳里 —— 那是宿主存储,不是词表);web 侧
+ * 两份的退役是 web 半场的事(发布帖点名)。
+ *
+ * ## 与引擎侧的对齐
+ *
+ * 五档序镜像 core `DEFAULT_TIER_ORDER`、CC 别名镜像 core `CC_MODEL_TIER_ALIASES`(cli 侧
+ * tierStore.test.ts 有对 core 导出的运行时 drift-lock);`ultra` 预留在 max 之上(core 已排位,
+ * UI 今天不面)。缺省默认档 pro(clay [599])。
+ */
+/** 降档链(强→弱)——镜像 core DEFAULT_TIER_ORDER;解析某档无绑定时沿链向后取第一个有绑定的档。 */
+export const TIER_ORDER = ['ultra', 'max', 'pro', 'flash', 'lite'];
+/** UI 呈现的四档(ultra 预留不面)。 */
+export const SURFACED_TIERS = ['max', 'pro', 'flash', 'lite'];
+/** CC 档位词 → sema 档位(内置固定映射,镜像 core CC_MODEL_TIER_ALIASES;兼容层不可配)。 */
+export const CC_TIER_ALIASES = {
+    fable: 'max',
+    mythos: 'max',
+    opus: 'pro',
+    sonnet: 'flash',
+    haiku: 'lite',
+};
+/** 缺省默认档(clay [599]:默认档缺省 pro)。 */
+export const DEFAULT_TIER = 'pro';
+/** 各档一句话职责(档位 Hub/onboard 行描述共用;无 roster/role 词)。 */
+export const TIER_BLURBS = {
+    ultra: 'reserved above max — binds when a stronger model lands',
+    max: 'hardest problems — deep reasoning, big refactors',
+    pro: 'everyday driving — the default tier',
+    flash: 'fast + cheap — titles, recaps, volume work',
+    lite: 'cheapest — bulk classification, simple lookups',
+};
+export const isTier = (v) => typeof v === 'string' && TIER_ORDER.includes(v);
+/**
+ * 组内解析某档 → 绑定 entry id(该档未绑则沿 TIER_ORDER 向下取第一个有绑定的档;全空
+ * undefined)。fail-open 沿链向下,镜像 core expandTiers 语义。
+ */
+export function resolveTierBinding(def, tier) {
+    const direct = def.tiers[tier];
+    if (direct)
+        return direct;
+    const at = TIER_ORDER.indexOf(tier);
+    if (at === -1)
+        return undefined;
+    for (let i = at + 1; i < TIER_ORDER.length; i++) {
+        const next = def.tiers[TIER_ORDER[i]];
+        if (next)
+            return next;
+    }
+    return undefined;
+}

package/dist/subagent/engineSubagentTail.d.ts

@@ -20,6 +20,26 @@ export interface SubagentActivity {
 export type SubagentActivitySink = (a: SubagentActivity) => void;
 /** 装/卸 Progress 段落点。传 null 卸。返回还原函数。 */
 export declare function installSubagentActivitySink(sink: SubagentActivitySink | null): () => void;
+/**
+ * 一帧 tail `event: meta` 的发布载荷(#280 件2,0.30.4)。`meta` 是连接语义帧(server 建连即发:
+ * `{version, runId, target, status, seq?, contentFrames?, …}`),**不进内容面** —— 但其中的
+ * **供给形判别位 `contentFrames`**(server e439a6c,闭集 {on | progress_only | unknown})是端
+ * 区分「内容帧**永远不会来**(forward 缺席宿主,结构性无内容)vs **还没来**」的唯一诚实依据;
+ * 0.30.3 及之前它被消费循环的 forward-only 过滤整类 skip,端结构性到不了。
+ * 🔴 `meta` 为**开集原文**(SDK subagentStream 产物 `Record<string, unknown>` 原样):判别位的
+ * 窄读(闭集判词/缺席处置)归消费端,包只搬运 —— additive 上游往 meta 里加键零施工。
+ * ⚠️ 供给形登记随句柄终态在 server 侧撤销(SubagentTailBus.forgetHandleContentMode)⇒ 判别位
+ * 要在子代存活窗内消费,终态后重开的 tail 读到 `unknown` 不是回归。
+ */
+export interface SubagentTailMeta {
+    taskId: string;
+    /** meta 帧原文(开集;`contentFrames` 等判别位的窄读归消费端)。 */
+    meta: Record<string, unknown>;
+}
+/** 端装的 meta 帧落点(#280 件2)。不装 ⇒ 判别位不达端(不是错误态,该面不启用;0.30.3 现状字节不变)。 */
+export type SubagentTailMetaSink = (m: SubagentTailMeta) => void;
+/** 装/卸 tail meta 帧落点。传 null 卸。返回还原函数。 */
+export declare function installSubagentTailMetaSink(sink: SubagentTailMetaSink | null): () => void;
 /**
  * tail 是否正对该行开着 —— **两源互斥判别口**(行帧 `currentTool` 臂在 tail 活跃时让位:
  * tail 的 tool_start 带真 args,渲染更细;两源同录 = 每步双行)。

package/dist/subagent/engineSubagentTail.js

@@ -84,6 +84,15 @@ export function installSubagentActivitySink(sink) {
         activitySink = prev;
     };
 }
+let tailMetaSink = null;
+/** 装/卸 tail meta 帧落点。传 null 卸。返回还原函数。 */
+export function installSubagentTailMetaSink(sink) {
+    const prev = tailMetaSink;
+    tailMetaSink = sink;
+    return () => {
+        tailMetaSink = prev;
+    };
+}
 /* `coerceOutput`(tool_end.output 的字符串化口)**已搬到 `subagentContentStore.ts`**
  * (#158 移交① / [3674](d) 姊妹病,2026-08-12):喂那个 store 的是两条腿(本 tail 腿 + seam
  * 适配器的 C1 分流臂),字符串化口必须只有一份,故跟着它服务的那个位走。公面导出名不变
@@ -143,8 +152,35 @@ export function tailEngineSubagent(taskId) {
                     // 连接分界线:meta 帧即到 = SSE 建连成功(与「子代此刻恰好在跑长工具、没内容可发」区分开)
                     hostLog('debug', `[subagent-tail] ${taskId} stream connected +${Date.now() - openedAt}ms`);
                 }
-                if (ev.event !== 'forward')
-                    continue; // meta/heartbeat:连接语义帧,不进内容面
+                // #280 件2(0.30.4):帧分类闸 —— `meta` 经发布口出去(`contentFrames` 判别位在其中,
+                // 见 SubagentTailMeta 顶注),`forward` 进内容面,其余(heartbeat / 未来新连接语义帧)
+                // 维持 skip。🔴 开闸范围**只放 meta**(最小化):放宽 default 臂 = 把未知帧灌进发布口,
+                // 消费端会把连接杂音当判别位读。
+                switch (ev.event) {
+                    case 'meta':
+                        // 连接语义帧,不进内容面;不装 sink = 现状。🔴 消费端 sink 失败**绝不撕裂 tail**
+                        //(本文件头注铁律「一切失败 fail-soft…绝不 throw」;runStream onDroppedFrame
+                        // 「sink 抛错绝不打断流且痕迹落回」同族)——两臂都要:同步 throw 由 try/catch 兜,
+                        // **异步拒绝**(类型虽 void,宿主传 async 函数合法)也要有界观察 —— 不观察 =
+                        // unhandledRejection = Node 缺省整进程崩,TUI 宿主最坏形。痕迹留 hostLog,内容帧照常消费。
+                        try {
+                            const out = tailMetaSink?.({ taskId, meta: ev.data });
+                            if (out !== null && typeof out === 'object' && typeof out.then === 'function') {
+                                ;
+                                out.then(undefined, (e) => {
+                                    hostLog('debug', `[subagent-tail] ${taskId} meta sink rejected: ${String(e).slice(0, 160)}`);
+                                });
+                            }
+                        }
+                        catch (e) {
+                            hostLog('debug', `[subagent-tail] ${taskId} meta sink threw: ${String(e).slice(0, 160)}`);
+                        }
+                        continue;
+                    case 'forward':
+                        break;
+                    default:
+                        continue; // heartbeat 等连接语义帧,不进内容面
+                }
                 const d = ev.data;
                 const t = d.type;
                 frames += 1;

package/docs/INTEGRATION-CLIENTS.md

@@ -23,7 +23,7 @@
 | peer:wire 契约 | `@sema-agent/sdk` **>=6.17.2**(value-level,非 type-only) | `package.json` `peerDependencies` |
 | peer:会话词汇表 | `@sema-agent/agent-types` **>=0.2.0**(type-only,零运行时) | 同上 |
 | runtime dep | `diff` ^9.0.0(**唯一**一条;portability 门按**等值**钉死) | `package.json` `dependencies` |
-| 公开导出面 | **706** 个运行期符号(+ 33 个测试钩) | `scripts/public-export-baseline.json` 的 `count` / `testHookCount` —— **别手抄进别处,以该文件为准** |
+| 公开导出面 | **724** 个运行期符号(+ 33 个测试钩) | `scripts/public-export-baseline.json` 的 `count` / `testHookCount` —— **别手抄进别处,以该文件为准** |
 | 常驻门 | 以 `scripts/gates-manifest.json` 的 `suites` 长度为准(**本档不抄这个数**) | `scripts/gates-manifest.json`;`npm test` 的名单等值门与它逐名对账 |
 | 沿革档 | 0.29.0 起建 `CHANGELOG.md`;更早批次记账在 `src/index.ts` 文件头 + `docs/REFACTOR-LEDGER.md` | — |
 
@@ -99,7 +99,7 @@ SDK 核对「本包 import 的每个值级符号仍然导出」「`TaskStats.cos
 
 ## §2 公共导出面地图(按域)
 
-> 全集真源 = `scripts/public-export-baseline.json` 的 `names`(**706** 项)。
+> 全集真源 = `scripts/public-export-baseline.json` 的 `names`(**724** 项)。
 > 本节**不逐名抄**,只给「域 → 承重导出 → 用途 → 实现锚」。承重导出 = 一个端为了让这个域干活
 > **必须**直接调到的那几个符号;其余是它们的类型、变体与辅助位。
 > 单一入口:`import { … } from '@sema-agent/client-core'`(`exports` 只有 `.` 一个;
@@ -109,38 +109,38 @@ SDK 核对「本包 import 的每个值级符号仍然导出」「`TaskStats.cos
 
 `public-export-baseline.json` 由 **`dist/index.js` 的运行期导出**生成(生成口径自述见
 `scripts/run-client-core-typeshape-test.mjs`,双向精确集合门在 `scripts/run-public-surface-test.mjs`)。
-实测:706 项 **100% 是运行期导出,零 type-only**。
+实测:724 项 **100% 是运行期导出,零 type-only**。
 
 **推论(端必须知道)**:
-- barrel 导出的**类型**面比 706 大得多,且**不被这道门看守** —— `AdapterContext` / `SeamEvent` /
+- barrel 导出的**类型**面比 707 大得多,且**不被这道门看守** —— `AdapterContext` / `SeamEvent` /
   `ChromeEvent` / `HostPorts` / `ApprovalCardPort` / `HitlHostSurface` / `ClientSliceLike` /
   `LocalSessionEvent` / `SeatMethodName` / `ModelCatalog` 全在公面上、全**不在**基线里。
   端依赖这些类型是合法的,但**不要**拿基线 diff 当"类型面没变"的证据。
 - `src/agentSession/contract.ts` 对基线贡献 **0** 项(纯类型模块,`export *` 在 dist 里是空转发)。
 
-706 项的内部构成(帮助端估读表大小):**210** 项是 `SCREAMING_SNAKE` 常量数据表/词汇表
+724 项的内部构成(帮助端估读表大小):**217** 项是 `SCREAMING_SNAKE` 常量数据表/词汇表
 (矩阵、键集、env 名、锚串)而非可调用物;**4** 项是 PascalCase 运行期值
 (`ControlRouter` / `ControlSafetyError` / `HitlBridge` / `HitlSafetyError`);
 **39** 项是 `*For(sessionKey, …)` 的 per-session 变体(§6;其中 `engineNamespaceKeyFor` 是命名巧合 —— 参数是 baseUrl 不是 sessionKey,见域 14)。
 
-### 2b. 域图(16 域,逐域计数之和 = 706)
+### 2b. 域图(16 域,逐域计数之和 = 724)
 
 | # | 域 | 名数 | 承重导出 | 用途 | 实现锚 |
 |---|---|---|---|---|---|
 | 1 | **适配内核(下行主链)** | 29 | `adapt` · `createWireToCcAdapter` · `runStream` · `eventToSdkMessage` · `terminalToSdkResult` · `turnUsageToModelUsage` · `isRunStreamActive` · `ADAPTER_DIVERGENCES` | 引擎 SSE `AgentEvent` → 端要渲的**双面输出**:transcript(`SDKMessage`)+ chrome(瞬态 `ChromeEvent`)。**本包存在的理由** | `src/adapt.ts`、`src/adapt/{arms,wireShapes,panelTasks}.ts`(经 `adapt.ts` 再导出)、`src/adapter/runStream.ts`、`src/adapter/downstream/*`、`src/adapter/types.ts` |
 | 2 | **seam 公共契约** | 2(其余为 type-only) | `CHROME_ARMS` · `deriveTranscriptId` | 公共词汇 + **id 确定性不变量**(同一条流重放 ⇒ 同一串 id)。`CHROME_ARMS` = 端「我要消费哪些 chrome 臂」的对照清单 | `src/seam.ts` |
 | 3 | **HITL 决断卡链**(§4/§5 主战场) | 119 | `makeHitlCanUseTool` · `HitlBridge` · `findPendingForTask` · `HitlSafetyError` · `bridgeAskUserQuestionGates` · `surfaceToolApprovalFrameAndRespond` / `surfaceFsApprovalAndDecide` · `readToolApprovalRespondAck` · `installApprovalCardPort(For)` · `installHitlHostSurface(For)` · `armPlanReviewApproval` · `reopenPlanReviewCard` · `decidePlanReview` · `startApprovalsFeed` · `pendingRowIsOwnedByThisSession` · `approvalCallKey`/`liveFrameCallKey`/`planReviewQuestionId` · `registerArmedGateFor`/`wasGateArmedFor`/`clearArmedGateFor` · `waitForGateArmed(For)`/`onGateArmed(For)`/`gateArmedWaitMs`(#244 F1 呈现回执事件源) · `planReviewArmedKey(For)`/`notePlanReviewAnswered(For)`/`notePlanReviewAnsweredIfDecisive(For)`(A-024.4 plan 呈现分代) · `toolEndOutputText` · `isAskTool` · `waitForParkRowBirth` · `classifyAskParkRows` / `askParkRowArm` / `classifyAskParkChainFailure` · `readDecisionNoteAudit` / `decisionNoteAuditLine` · `resumeRunningOptions` / `resumeChoiceFromLabels` · `persistedRulesLaneAvailable`/`persistedRulesGovernanceAvailable` · `classifyRulesFailure` · `listAllPersistedRules` · `classifySkippedReason` · `readRulePersistOutcome`(#244 F2:persist-ack 读口与 `readToolApprovalRespondAck` 合成一处) · `parseLocalAllowRule`(durable 腿本地落规则窄化骨架,谓词经 `LocalAllowRuleDeps` 注入) | suspended→decide→resume 环。🔴 **D-1 两元组 verbatim 回显**是字节级断言的安全不变量,端**不许重实现它的任何一段**。🔴 键空间边界(web [C1] d3 拦截):`gateIdentity` 四常量两函数只覆盖 HITL questionId/callKey 空间;seat 的 `TOOL_PERMISSION_REQUEST_ID_DOMAINS`(`plan:` 等)是另一键空间,**两者绝不合并**(合并=座位校验器静默拒全部 plan-review 卡) | `src/hitl/hitlBridge.ts`、`toolApprovalWire.ts`、`askGateWire.ts`、`planReviewWire.ts`、`hitlHostSurface.ts`、`gateIdentity.ts`、`armedGateRegistry.ts`、`parkOwnership.ts`、`parkResolver.ts`、`approvalsFeed.ts`、`frameRouter.ts`(**只挑名导出** `toolEndOutputText`/`ENGINE_ABORT_TOOL_RESULT`/`isAskTool`/`HITL_REJECT_MESSAGE`)、`parkRowBirthWait.ts`、`approvalDecisionNoteAudit.ts`、`askParkRowRouting.ts`、`resumeRunningCard.ts`(#265 上收的判定层)、`persistedRulesWire.ts`、`localAllowRule.ts`(#244 F2 规则侧) |
-| 4 | **子代 wire + 面板侧信道台账** | 68 | `tailEngineSubagent` · `installSubagentActivitySink` · `stopEngineTask` + `classifyTaskStopConflict` · `fetchEngineSubagentReport` · `steerEngineSubagent` · `subscribeSubagentContent` · `subscribeEngineAgentPanel` · `publishQuestionFrame` / `respondToQuestion` | 驱动与观测委派子代;经 module 级台账喂活体 agent/task 面板。全部**能力位 gate**(§5b) | `src/subagent/*.ts`、`src/subagentContentStore.ts`、`src/engineAgentPanelStore.ts`、`src/engineInlineTaskStats.ts`、`src/engineToolLabelStore.ts`、`src/liveQuestionStore.ts` |
+| 4 | **子代 wire + 面板侧信道台账** | 69 | `tailEngineSubagent` · `installSubagentActivitySink` · `installSubagentTailMetaSink`(#280 件2:tail meta 帧发布口,`contentFrames` 判别位载体)· `stopEngineTask` + `classifyTaskStopConflict` · `fetchEngineSubagentReport` · `steerEngineSubagent` · `subscribeSubagentContent` · `subscribeEngineAgentPanel` · `publishQuestionFrame` / `respondToQuestion` | 驱动与观测委派子代;经 module 级台账喂活体 agent/task 面板。全部**能力位 gate**(§5b) | `src/subagent/*.ts`、`src/subagentContentStore.ts`、`src/engineAgentPanelStore.ts`、`src/engineInlineTaskStats.ts`、`src/engineToolLabelStore.ts`、`src/liveQuestionStore.ts` |
 | 5 | **fleet 投影** | 43 | `createFleetLedger` · `projectTasks` · `projectWorkflows` · `projectFleetAgentRows` · `readEngineActiveBgTasks` · `FLEET_TASK_VIEW_KEYS` | 老 `fleetClient` 那一刀的成品:**帧体归库、连接归端** —— 端持 SSE 连接,库做行投影 + 保留台账 | `src/fleet/fleetProjection.ts`、`src/fleet/fleetLedger.ts`、`src/fleetAgentPanelProjection.ts`、`src/fleetTaskDesc.ts` |
 | 6 | **请求装配(上行唯一构造口)** | 8 | `buildTaskRequest` · `REQUEST_FIELD_MATRIX` · `unregisteredRequestKeys` · `applyLiveRequestDefaults` · `taskNotificationToPrintFrame` | 两条车道(`interactive`/`print`)出站请求的**唯一**构造器;`unregisteredRequestKeys` 是可执行门 —— 端偷带一个未登记键上 wire 就红 | `src/request/taskRequest.ts`、`src/request/printNotification.ts` |
 | 7 | **通知与 outstanding 台账** | 37 | `installNotificationQueuePort` · `normalizeTaskNotification` · `taskNotificationDedupKeyFromWire` · `registerOutstandingBgTask` / `registerOutstandingWorkflowRun` · `notificationQueuePortMisses` · `subscribeOutstandingWorkflows` · `outstandingDeliverableWorkflowCount` | `task_notification` 归一 + 去重 + 投递进宿主命令队列的**一把闸**;`outstandingDeliverableWorkflowCount()` 是 headless `-p` 的**退出门** | `src/notifications.ts`(11 个 module 台账) |
 | 8 | **工具结果卡** | 25 | `structuredToToolUseResult` · `readAsyncLaunchedAgentReceipt` · `wireOutputToBody` · `parseModelFacingBash` · `getPatchFromContents` · `toolEndResultToUserFrame` · `flattenToolOutput` | 铸端要渲的 `tool_result` 卡体,含客户端 diff hunk(唯一 runtime dep 的用处) | `src/toolResult.ts`、`src/printToolResultFrame.ts`、`src/diff/patch.ts` |
 | 9 | **能力/旋钮 wire 门族** | 86 | `projectAgentsForWire` / `awaitTaskAgentsWire` · `hooksForWire` · `mcpConfigsToSpecs` · `ultracodeForRequest` · `resolveWebSearch` + `buildWebSearchEnv` · `attachmentsForRequest` · `projectEffectiveBody` | 逐功能的「引擎有没有这个能力 + 这个字段怎么上 wire」投影器,由 `buildTaskRequest` 组装。🔴 `hooksForWire()` 是 **fail-closed**:无 `SettingsPort` ⇒ 返回 `undefined`(信任门,不是取值) | 17 个 `src/*WireCaps.ts` + `src/scratchpadWireCaps.ts`、`src/hooksWireCaps.ts`、`src/goalStopHook.ts`、`src/websearch/searchProviderPresets.ts` |
 | 10 | **headless / 部署旋钮 wire** | 61 | `parseSandboxArgv` / `sandboxRequestFields` · `parseLimitsArgv` / `limitsForPrint` · `resolveHeadlessFinalVerify` · `resolveHeadlessPermissionMode` · `resolveHeadlessInteractiveTools` · `armDetachCancel` + `detachCancelArm` + `isDetachArmed` · `withHeadlessR1Reconnect` | `-p`/headless 车道的 env+argv 旋钮。🔴 `detachWire` 是**拆**的补偿:判定与 cancel-arm 台账在库,信号路径的裸 fetch 留宿主(`detachCancelArm()` 是取件口) | `src/sandboxWire.ts`、`scenarioWire.ts`、`finalVerifyWire.ts`、`limitsWire.ts`、`interactiveToolsWire.ts`、`headlessPermissionModeWire.ts`、`headlessReconnectWire.ts`、`detachWire.ts` |
-| 11 | **模型目录与预算** | 52 | `resolveModelCatalog` · `loadCatalogWithSources` · `PROVIDER_PRESETS` / `MODEL_FAMILIES` · `defaultMaxTokensFor` · `getLiveModelCatalog` / `setLiveModelCatalogRefresher` · `providerAuthMethods` / `beginDeviceCodeAuth` | 三层 provider 目录解析(线上 URL → 包内预设 → 用户覆盖)+ per-model `maxTokens` 封顶。线上腿需注入 `CatalogFetchJson`,缺席 ⇒ 整条不启用(`online.reason='no-fetch-port'`);缓存落盘经 `CatalogCachePort` | `src/model/{catalog,catalogLoader,providerAuth,providerPresets}.ts`、`src/liveModelCatalog.ts`、`src/modelBudgetRule.ts`、`src/sessionModelLatch.ts`、`src/effortWire.ts` |
+| 11 | **模型目录与预算** | 64 | `resolveModelCatalog` · `loadCatalogWithSources` · `PROVIDER_PRESETS` / `MODEL_FAMILIES` · `defaultMaxTokensFor` · `getLiveModelCatalog` / `setLiveModelCatalogRefresher` · `providerAuthMethods` / `beginDeviceCodeAuth` · `providerCatalogRows` / `providerCatalogRowDetail` / `providerPresetById`(#244 F4 族D A-028.17:46 家表的规范折表层 —— 全表不重排、诚实缺席「model id typed in」,cli 目录/web 向导同一份折表)· `TIER_ORDER` / `CC_TIER_ALIASES` / `isTier` / `resolveTierBinding`(A-028.18:档位词表+校验+fail-open 降档派生单源;settings 存储归宿主) | 三层 provider 目录解析(线上 URL → 包内预设 → 用户覆盖)+ per-model `maxTokens` 封顶。线上腿需注入 `CatalogFetchJson`,缺席 ⇒ 整条不启用(`online.reason='no-fetch-port'`);缓存落盘经 `CatalogCachePort` | `src/model/{catalog,catalogLoader,providerAuth,providerPresets,providerCatalog,tierVocabulary}.ts`、`src/liveModelCatalog.ts`、`src/modelBudgetRule.ts`、`src/sessionModelLatch.ts`、`src/effortWire.ts` |
 | 12 | **workflow 与后台工作视图** | 15 | `projectWorkflowRun` · `createLiveWorkflowSource` · `createBackgroundView` · `projectBackgroundView` · `recordWorkflowAgentTaskId` · `agentDisplayStatus` | 活过一个 turn 的长任务读面:workflow run + 跨 session 后台任务归一表(`assistant.tasks` 与 fleet SSE **两源独立降级**) | `src/workflow.ts`、`src/workflowClient.ts`、`src/workflowMonitor.ts`、`src/agentSession/backgroundView.ts`(+ 纯类型 `src/agentSession/contract.ts`) |
 | 13 | **座位 IPC 契约** | 33 | `LOCAL_SESSIONS_SPEC` · `SEAT_METHOD_NAMES` · `SEAT_EVENT_TYPES` · `isLocalSessionEvent` · `isToolPermissionRequest` · `toolPermissionRequestId` · `SEAT_VALIDATOR_KEY_COVERAGE` | desktop↔web 座位 IPC 契约的**单一真源**(此前两边各一份、名字零重合 ⇒ 编译器永远不会告诉你它们漂了)。🔴 加 verb 忘了加 `LOCAL_SESSIONS_SPEC` **不报错**:preload 不注册 channel、渲染端读到 `undefined` | `src/seatContract.ts`(**零 import**,纯类型 + 常量 + 纯谓词) |
-| 14 | **宿主端口与会话槽** | 21 | `installHost` · `installHostFor` · `hostPortMisses(For)` · `DEFAULT_SESSION_KEY` · `hostEnv` · `unrefTimer` · `engineNamespaceKeyFor` / `mergeSessionMapRecord` / `mergeEngineEntry`(A-028.12:会话 id 映射单一键形 + merge 判定;存储经 `SessionMapStorePort` 归端 —— cli 文件锁/原子写,web localStorage)| 进程/端级装配层(settings/fs/queue/timers/session/log/probe),与 per-turn 的 `AdapterContext` **分层**。头注的判定规则:**这个能力每 turn 都会变吗?** 会 ⇒ `ctx`;不会 ⇒ `installHost` | `src/host.ts`、`src/hostEnv.ts`、`src/sessionSlot.ts`、`src/unrefTimer.ts`、`src/env/localeGeo.ts`、`src/sessionMap.ts` |
+| 14 | **宿主端口与会话槽** | 26 | `installHost` · `installHostFor` · `hostPortMisses(For)` · `DEFAULT_SESSION_KEY` · `hostEnv` · `unrefTimer` · `parseLocaleTag` / `pickUiLanguage`(#244 F4 族D A-028.20:locale tag 手术单源 + UI 语言判定;与 `resolveRegionHint` 双出口成文 —— 语言偏好域 en/zh ≠ 地址可达域 cn/intl/unknown,`zh-Hant` 前者 zh 后者 intl 是设计)· `engineNamespaceKeyFor` / `mergeSessionMapRecord` / `mergeEngineEntry`(A-028.12:会话 id 映射单一键形 + merge 判定;存储经 `SessionMapStorePort` 归端 —— cli 文件锁/原子写,web localStorage)| 进程/端级装配层(settings/fs/queue/timers/session/log/probe),与 per-turn 的 `AdapterContext` **分层**。头注的判定规则:**这个能力每 turn 都会变吗?** 会 ⇒ `ctx`;不会 ⇒ `installHost` | `src/host.ts`、`src/hostEnv.ts`、`src/sessionSlot.ts`、`src/unrefTimer.ts`、`src/env/{localeGeo,localeTag,uiLanguage}.ts`、`src/sessionMap.ts` |
 | 15 | **控制面与传输** | 68 | `ControlRouter`(+ `ControlSafetyError`)· `makeEngineWireClient` + `resolveWireAuth` · `installEngineWireTarget` · `diagnoseSseIdleTear` / `isSseIdleError` · `attemptActiveRunSelfHeal` + `activeRunBusySignal` + `activeRunSelfHealRow` / `activeRunBusyHeadlessRow` · `kickEngineCapsProbe` / `engineCapTrue` · `mapBrainStatusToRetry` · `waitForClaimRelease` + `CLAIM_RELEASED_STATES` / `CLAIM_HELD_STATES` · `atMostOnceFailureClass` / `readSteerDelivery` · `INTERACTIVE_WAY_OUT`(默认出路串单源)· `normalizeWirePrincipal`(A-028.10:principal 在场性 trim 原语 —— 全空白=缺席不发头,engineWireTarget 两臂/makeEngineWireClient/壳 livePrincipal 同尺)· `classifyTurnWireError` / `isWireTransportError` / `isPreStreamDrainingReject` / `isResumeAtRejection` / `drainingRetryDelayMs` / `scenarioDenyFromError` + `WIRE_NETWORK_ERROR_PATTERN`(A-028.11/.13:turn 错误分型判定半场,人话文案与渲染归端) | 上行通道的**监管**半场(submit / steer / kill / 队列命令定序)+ 传输构造、caps 探测、SSE 断流分诊、**409 active-run 自愈** | `src/controlRouter.ts`、`steering.ts`、`sseIdleTriage.ts`、`retryStatus.ts`、`diagnostics.ts`、`engineWireSdk.ts`、`engineWireTarget.ts`、`src/principalWire.ts`、`src/wireErrorTriage.ts`、`engineSessionParam.ts`、`engineCapsCache.ts`、`liveInitToolFace.ts`、`adapter/activeRunSelfHeal.ts` |
 | 16 | **引擎词汇表与包自检** | 39 | `CONFIG_REFUSAL_CODES` / `isConfigRefusalCode` · `STOP_CONFLICT_CODES` · `isInterruptedToolEndCode` · `isRewindFamilyCode` · `CLIENT_VERBS` · `compensationSplitViolations` | 三端分臂共用的**去字面化** `errorCode` 词表(病根正是三端各抄一份字面);编译期 verb 闭合门;搬迁补偿登记表 | `src/engineErrorCodes.ts`(32 项;A-028.11/.13 补 `DRAINING_ERROR_CODE`/`SCENARIO_NOT_ALLOWED_ERROR_CODE`/`RESUME_AT_ERROR_CODE_PREFIX`)、`src/classifierVerdictWire.ts`、`src/compensations.ts`、`src/clientSlice.ts` |
 
@@ -414,6 +414,7 @@ durable park 腿走 `HitlBridge.decideTool(outcome, toolUseID, opts, preResolved
 | `installHitlHostSurface(For)` | `src/hitl/hitlHostSurface.ts` | 通知不上屏(与壳原文 `if (!store) return` 同语义) | **是**(`hitlHostSurfaceMisses()` 恒应为 0) | §4a 的两条**安全告知**(remember-not-applied / edit-not-forwarded)+ cancel-by-deny warn + Recent Denials 记账**全丢** |
 | `installEngineWireTarget(For)` | `src/engineWireTarget.ts` | 回落 env 派生 | — | 🔴 **非 Node 宿主(web / desktop 渲染进程)没有 env** ⇒ 根本拿不到引擎目标。对它们这是**唯一**入口(设了就压过 env);不装 ⇒ `engineRowStopGate` 等按 `baseUrl` 查 caps 的门恒判假。⚠️ **凭证面有边界**:`EngineWireTarget.token` 今天是 `string`,**装不进** `{ mode: 'same-origin-relay' }` —— 浏览器同源宿主必读 **§5d** 与缺口 **P-28** |
 | `installSubagentActivitySink` | `src/subagent/engineSubagentTail.ts` | Subagent Progress 段无数据 | 否 | 明确**不是**错误态:那个面就是没启用 |
+| `installSubagentTailMetaSink` | `src/subagent/engineSubagentTail.ts`(#280 件2,0.30.4) | tail `event: meta` 帧不发布(0.30.3 现状) | 否 | `contentFrames` 供给形判别位(闭集 {on, progress_only, unknown})不达端 ⇒ 端把「结构性无内容(forward 缺席宿主)」误读成「还没来」永远空挂。载荷 = `{taskId, meta}`(meta 为帧**开集原文**,判别位窄读归端);⚠️ 判别位要在子代存活窗内消费(server 侧登记随句柄终态撤销,终态后 tail 读到 `unknown` 不是回归) |
 | `installWorkflowStatusProbe` | `src/notifications.ts` | watcher 没有带对 baseUrl/token/principal 的 `workflows.get` | — | **workflow 完成通知永远不落地** |
 | `installBgTaskStatusProbe` | `src/notifications.ts` | bg 状态 watcher 空转 | — | **后台子代完成通知永远不落地**(这个 watcher 存在的理由正是 idle 期推送不可靠) |
 | `CatalogFetchJson`(注入,非 install) | `src/model/catalog.ts` | 线上腿**整条不启用**(`online.reason = 'no-fetch-port'`) | — | 目录只走包内兜底(端可据 `source` + `online.reason` 诚实渲「内置版本(离线)」) |
@@ -786,6 +787,7 @@ reason 里写明「枚举器盲区形」。已知两形:
 - [ ] `kickEngineCapsProbe(baseUrl, probe)`(caps 门的数据源)
 - [ ] `installWorkflowStatusProbe` / `installBgTaskStatusProbe` —— 不装 = **workflow / 后台子代的完成通知永远不落地**
 - [ ] `installSubagentActivitySink`(可选:Subagent Progress 段的数据源;不装不是错误态)
+- [ ] `installSubagentTailMetaSink`(可选,0.30.4 #280 件2:tail meta 帧的 `contentFrames` 判别位数据源;不装不是错误态,但查看态会把「结构性无内容」渲成永远的「还没来」)
 - [ ] **启动校验用存在性读口**(§5a 的 (a) 表,🔴 **哨兵逐口不同,逐个照抄别推广**;多会话宿主用 `*For` 那一支):`hasApprovalCardPort() === true` · `hasApprovalCardPortFor(key) === true` · **`hitlHostSurfaceFor(key) !== null`**(哨兵是 `null`,写 `!== undefined` **恒真** = 假绿) · `hostSettings() !== undefined` · `hostSettingsFor(key) !== undefined` · `hostFs() !== undefined` · `hostFsFor(key) !== undefined` · `hostSession() !== undefined` · `hostSessionFor(key) !== undefined` · `engineWireTarget() !== null` · `engineWireTargetFor(key) !== null`(`hostTimers()` / `hostTimersFor(key)` 同为 `!== undefined`,按你真装的挑)
 - [ ] **miss 计数当回归探针,不当装配自检**(#252 复审 R3/R4,§5a (b) / 缺口 **P-29**):`hostPortMisses()` 空 / `notificationQueuePortMisses() === 0` / `approvalCardPortMisses() === 0` / `hitlHostSurfaceMisses() === 0` / `compensationSplitViolations()` 空 —— 🔴 **这几个数初值就是 0/空**,「完全没装口 + 还没发生任何调用」时它们照样全绿,**启动瞬间的断言证明不了装配**。正确用法 = 跑过**一轮真流量**之后再断言它们仍为 0。⚠️ **通知队列口今天没有存在性读口**(P-29),那一条只能靠你自己记得调过
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/client-core",
-  "version": "0.30.3",
+  "version": "0.30.5",
   "description": "Client-side session runtime shared by every sema human client (TUI / web / desktop): sema wire frames (AgentEvent) -> CC session vocabulary (SDKMessage) with dual-plane output (transcript/chrome), deterministic transcript ids, lane discipline as a type, and the notification/dedup ledgers. Every CC-skin shape is collected here so the wire itself stays neutral. Blackboard [1832] design axioms; [1651]/[1652]/[1653] signed seam design. Renamed from @sema-agent/wire-cc-adapter (0.1.x).",
   "license": "MIT",
   "type": "module",